Google pericoloso la ricerca di informazioni confidenziali

Micha Piotrowski

Articolo pubblicato nel numero 3/2005 della rivista hakin9 Tutti i diritti riservati. vietato copiare e divulgare l'articolo in forma modificata. Rivista hakin9, Casa editrice Software-Wydawnictwo, via Lewartowskiego 6, 00-190 Varsavia, Polonia; it@hakin9.org

Google pericoloso la ricerca di informazioni confidenziali

Micha Piotrowski

Le informazioni che dovrebbero essere protette, molto spesso sono pubblicamente accessibili. Sono rivelate per trascuratezza o per ignoranza dagli utenti stessi. L'effetto tale che i dati confidenziali si trovano a portata di mano, sul Web. Basta utilizzare Google.

oogle risponde all'incirca all'80 per cento di tutte le query in Rete e con questo il motore di ricerca utilizzato pi spesso e volentieri. Questo si deve non soltanto al meccanismo straordinariamente efficace della generazione dei risultati, ma anche alle complesse possibilit di creazione delle query. Bisogna per ricordare che Internet un media molto dinamico e per questo i risultati presentati da Google non sempre sono attuali. Capita che alcune pagine trovate siano scadute da tempo, e contemporaneamente molte altre simili non siano ancora state visitate da Googlebot (lo script-automa che setaccia e indicizza le risorse Web). Gli operatori di ricerca, i pi importanti e pi utili, assieme alla loro descrizione e l'effetto del funzionamento, sono stati presentati nella Tabella 1, invece le sezioni di documento a cui gli operatori si riferiscono durante l'esplorazione delle risorse di Rete (sull'esempio della pagina della rivista hakin9), sono presentati nella Fig. 1. Sono soltanto esempi fare una query in Google in modo abile permette di ottenere delle informazioni molto pi interessanti.

Dall'articolo imparerai...
come trovare con l'uso di Google i database personali ed altre informazioni confidenziali, come trovare le informazioni sui sistemi e servizi di rete suscettibili ad attacchi, come trovare in Google i dispositivi di rete pubblicamente accessibili.

Cosa dovresti sapere...

dovresti saper utilizzare un browser internet, dovresti avere una conoscenza di base sul protocollo HTTP.

Cenni sull'autore

Micha Piotrowski laureato in informatica. Ha un'esperienza pluriennale lavorativa come amministratore di rete e sistemista. Da oltre tre anni lavora come ispettore per la sicurezza. Attualmente uno specialista per la sicurezza delle reti telematiche in una delle pi grandi istituzioni finanziarie in Polonia. Nel tempo libero programma e si occupa di crittografia, la sua passione il Software Libero.

Basi

www.hakin9.org

hakin9 N o 3/2005

Google hacking

Tabella 1. Operatori di ricerca in Google Operatore

site

Destinazione limita i risultati alle pagine che si trovano in uno specifico dominio limita i risultati ai documenti contenenti una determinata frase nel titolo limita i risultati ai documenti contenenti nel titolo tutte le frasi indicate

Esempio d'utilizzo trover tutte le pagine che si trovano nel dominio *.google.com contenenti nel testo la parola fox
site:google.com fox

intitle

trover le pagine contenenti nel titolo la parola fox e nel testo la parola fire
intitle:fox fire

allintitle

trover tutte le pagine contenenti nel titolo le parole fox e fire; funziona similmente ad
allintitle:fox fire intitle:fox intitle:fire

inurl

limita i risultati alle pagine contenenti inurl:fox fire trover le pagine contenenti nel testo la una determinata frase nell'indirizzo parola fire e nell'indirizzo URL la parola fox URL limita i risultati alle pagine contenenti nell'indirizzo URL tutte le frasi indicate limita i risultati ad un determinato tipo di documenti limita i risultati ai documenti contenenti una cifra dal campo indicato trover le pagine contenenti nell'indirizzo URL le parole fox e fire; funziona similmente ad
allinurl:fox fire inurl:fox inurl:fire

allinurl

filetype, ext

restituir i documenti PDF contenenti la parola fire, invece filetype:xls fox render i documenti del foglio di calcolo Excel contenenti la parola fox
filetype:pdf fire

numrange

restituir le pagine contenenti un numero dal campo da 1 a 100 e la parola fire. L'effetto identico si pu ottenere con la query: 1..100 fire
numrange:1-100 fire

link

limita i risultati alle pagine contenenti link:www.google.it restituir i documenti contenenti i link ad una determinata localizzaalmeno un link alla pagina www.google.it zione limita i risultati alle pagine con i link contenenti nella descrizione una determinata frase limita i risultati ai documenti contenenti una determinata frase in testo e contemporaneamente non contenenti questa nel titolo, nei link e negli indirizzi URL mostra i risultati partendo da quelli in cui compare pi volte la parola cercata mostra solo i risultati che non contengono una determinata parola permette di cercare intere frasi, non soltanto parole viene sostituito da un singolo carattere viene sostituito da una singola parola OR logico restituir i documenti contenenti i link che hanno la parola fire nella descrizione (non nell'indirizzo URL, a cui puntano, ma nella parte sottolineata del testo)
inanchor:fire allintext:"fire fox" restituir

inanchor

allintext

i documenti, che hanno la frase fire fox soltanto nel testo

ordina i risultati secondo la maggiore frequenza di apparizione della parola fire

+fire -fire

restituir i documenti non contenenti la parola fire i documenti contenenti la frase fire

"" .

"fire fox" restituir

fox

restituir i documenti contenenti le frasi fire fox, fireAfox, fire1fox, fire-fox ecc.
fire.fox

restituir i documenti contenenti le frasi fire the fox, fire in fox, fire or fox ecc
fire * fox

restituir i documenti contenenti la frase fire fox o la parola firefox

"fire fox" | firefox

hakin9 N o 3/2005

www.hakin9.org

Fig. 1: L'utilizzo degli operatori nella ricerca sull'esempio della pagina della rivista hakin9

Fig. 2: Rilevamento del server IIS 5.0 con l'uso dell'operatore intitle

Cerchiamo una vittima

Basi

Grazie al motore di ricerca Google possiamo arrivare non soltanto alle risorse Internet comunemente accessibili, ma anche a quelle che non dovrebbero essere mai svelate. Lanciando un'adeguata query spesso otterremo dei risultati veramente sorprendenti. Cominciamo da qualcosa di semplice.

Immaginiamo che in un certo programma comunemente utilizzato venga trovata una falla. Supponiamo che riguardi il server Microsoft IIS nella versione 5.0 e che un ipotetico aggressore voglia trovare alcune macchine con questo software, per attaccarle. Ovviamente potrebbe utilizzare a questo scopo qualche scanner, per preferisce

utilizzare Google lancia allora la seguente query: "Microsoft-IIS/ 5.0 Server at" intitle:index.of e, come effetto, ottiene i link ai server cercati e, pi precisamente, al contenuto listato delle directory che si trovano su questi server. Succede questo perch nella configurazione standard il software IIS (e molti altri) aggiunge ad alcune pagine generate dinamicamente dei banner contenenti il proprio nome e versione (si vede questo nella Fig. 2). un esempio d'informazione che per se stessa innocua; per questo motivo molto spesso ignorata e lasciata nella configurazione standard. Purtroppo anche un'informazione che, in certe circostanze, pu essere d'importanza fondamentale per un aggressore. Ulteriori esempi delle query a Google su altri tipi di server sono contenuti nella Tabella 2. Un altro modo per trovare delle versioni specifiche di server Web la ricerca delle pagine standard che vengono fornite con essi e rese accessibili, dopo una corretta installazione. Pu sembrare strano, per in Rete si trovano una moltitudine di server, il cui contenuto di default non stato cambiato dopo l'installazione. Molto spesso sono macchine poco protette, dimenticate, e quindi un facile bersaglio per i malintenzionati. Esse si possono trovare utilizzando le query presentate nella Tabella 3. Questo metodo molto semplice e contemporaneamente utile. Con il suo aiuto si pu ottenere l'accesso ad un'immenso numero di server di rete o di sistemi operativi che adoperano delle applicazioni, in cui sono stati trovati errori, non eliminati da amministratori pigri o ignoranti. Come esempio ci serviremo di due programmi popolari: WebJeff Filemanager e Advanced Guestbook. Il primo di questi un file manager Web che rende possibile trasmettere dei file al server e di creare, esplorare, eliminare e modificare i file che si trovano sul server. Purtroppo, WebJeff Filemanager nella versione 1.6 ha un errore che permette di leggere il contenuto di

www.hakin9.org

hakin9 N o 3/2005

Google hacking

Tabella 2. Google le query su vari tipi di server Web Query

"Apache/1.3.28 Server at" intitle:index.of "Apache/2.0 Server at" intitle:index.of "Apache/* Server at" intitle:index.of "Microsoft-IIS/4.0 Server at" intitle:index.of "Microsoft-IIS/5.0 Server at" intitle:index.of "Microsoft-IIS/6.0 Server at" intitle:index.of

Server Apache 1.3.28 Apache 2.0 qualsiasi versione di Apache Microsoft Internet Information Services 4.0 Microsoft Internet Information Services 5.0 Microsoft Internet Information Services 6.0 qualsiasi versione di Microsoft Internet Information Services qualsiasi versione del server Oracle qualsiasi versione del server IBM qualsiasi versione del server Netscape qualsiasi versione del server Red Hat Secure qualsiasi versione del server HP

"Microsoft-IIS/* Server at" intitle:index.of

"Oracle HTTP Server/* Server at" intitle:index.of "IBM _ HTTP _ Server/* * Server at" intitle:index.of "Netscape/* Server at" intitle:index.of "Red Hat Secure/*" intitle:index.of "HP Apache-based Web Server/*" intitle:index.of

Tabella 3. Le query sulle pagine standard di postinstallazione dei server Web Query
intitle:"Test Page for Apache Installation" "You are free" intitle:"Test Page for Apache Installation" "It worked!" "this Web site!" intitle:"Test Page for Apache Installation" "Seeing this instead" intitle:"Test Page for the SSL/TLS-aware Apache Installation" "Hey, it worked!" intitle:"Test Page for the Apache Web Server on Red Hat Linux" intitle:"Test Page for the Apache Http Server on Fedora Core" intitle:"Welcome to Your New Home Page!" Debian intitle:"Welcome to IIS 4.0!" intitle:"Welcome to Windows 2000 Internet Services" intitle:"Welcome to Windows XP Server Internet Services"

Server Apache 1.2.6 Apache 1.3.01.3.9 Apache 1.3.111.3.33, 2.0 Apache SSL/TLS Apache nel sistema Red Hat Apache nel sistema Fedora Apache nel sistema Debian IIS 4.0 IIS 5.0 IIS 6.0

hakin9 N o 3/2005

www.hakin9.org

Fig. 3: La versione vulnerabile del programma WebJeff Filemanager

Fig. 4: Advanced Guestbook la pagina d'accesso

un qualsiasi file che si trovi sul server, al quale possiede l'accesso un utente avviante un demone Web. Basta allora che un intruso immetta in un sistema vulnerabile l'indirizzo /index.php3?action=telecharger& fichier=/etc/passwd, e otterr il contenuto del file /etc/passwd (vedere Fig. 3). Ovviamente per trovare dei server vulnerabili un aggressore utilizzer Google effettuando la query: "WebJeff-Filemanager 1.6" Login. La seconda applicazione Advanced Guestbook un programma scritto nel linguaggio PHP che utilizza il database SQL e che rende possibile aggiungere dei guestbook ai portali Web. Nell'aprile 2004 stata pubblicata l'informazione su una falla riguardante la versione 2.2 di questo programma che permette (tramite iniezione del codice SQL vedere l'Articolo Attacchi SQL Injection su PHP/MySQL in hakin9 2 /2005) di ottenere l'accesso al menu di amministrazione. Basta trovare la pagina di accesso al menu (vedere Fig. 4) e fare il login lasciando il campo username vuoto, invece nel campo password inserire ') OR ('a' = 'a, o all'inverso il campo password lasciando vuoto, e nel campo username inserire ? or 1=1--. Il nostro aggressore d'esempio, per trovare in rete delle pagine vulnerabili, pu effettuare con Google una delle seguenti query: intitle:
Guestbook "Advanced Guestbook 2.2 Powered" 2.2" Username inurl:admin.

oppure "Advanced

Guestbook

Per prevenire la perdita di dati nel modo descritto, l'amministratore deve, all'occorrenza, tenere traccia di tutti i programmi che utilizza nei portali da lui mantenuti ed eseguire degli aggiornamenti nel caso appaia un errore in uno di essi. La seconda cosa di cui vale la pena prendersi cura l'eliminazione dei banner, nomi e numeri delle versioni dei programmi da tutte le pagine o file nei quali appaiono.

Basi

Informazioni sulle reti e sistemi

Fig. 5: Le statistiche phpSystem

Quasi ogni attacco ad un sistema di computer preceduto dallidentifica-

www.hakin9.org

hakin9 N o 3/2005

Google hacking

zione dell'obiettivo. Questo di solito consiste nella scansione dei computer nel tentativo di determinare i servizi in funzione, il tipo di sistema operativo e la versione del software utilizzato. Per questo scopo pi frequentemente si utilizzano degli scanner tipo Nmap o amap, per esiste un'ulteriore scelta. Molti amministratori installano applicazioni Web che continuamente generano delle statistiche dal lavoro di sistema, informano sullo spazio occupato sui dischi rigidi, contengono le liste dei processi avviati o persino i log di sistema. Per uno malintenzionato sono informazioni molto preziose. Basta che interroghi Google sulle statistiche del programma phpSystem: "Generated by phpSystem" e otterr , pagine simili a quella presentata nella Fig. 5. Pu anche interro-

Fig. 6: Le statistiche Sysinfo

Tabella 4. I programmi che creano le statistiche del lavoro di sistema Query

"Generated by phpSystem"

Tipo d'informazione il tipo e la versione del sistema operativo, la configurazione di hardware, gli utenti loggati, le connessioni aperte, l'occupazione della memoria e dei dischi rigidi, i punti di mount le statistiche del lavoro del server Web, la disposizione dei file system le statistiche del lavoro del server Web, la disposizione dei file system le statistiche del lavoro del server Web, la disposizione dei file system le statistiche del lavoro del sistema nella forma del diagramma MRTG, la configurazione di rete la versione del server, il tipo del sistema operativo, l'elenco dei processi futuri e le connessioni attuali l'attivit del server Web, molte informazioni sui visitatori le statistiche del lavoro dei dispositivi UPS le statistiche del lavoro del server Web, le informazioni sui visitatori le statistiche del lavoro del sistema nella forma del diagramma MRTG, la configurazione di hardware, i servizi in funzione le statistiche del lavoro del server Web, le informazioni sui visitatori, la disposizione dei file system le statistiche del lavoro del server Web, le informazioni sui visitatori le statistiche del lavoro del server Web, le informazioni sui visitatori i diagrammi MRTG del lavoro delle interfacce di rete la versione e la configurazione del server Web, il tipo del sistema operativo, la disposizione dei file system il tipo e la versione del sistema operativo, gli utenti loggati, l'occupazione della memoria e dei dischi rigidi, i punti di mount, i processi avviati, i log di sistema

"This summary was generated by wwwstat" "These statistics were produced by getstats" "This report was generated by WebLog" intext:"Tobias Oetiker" "traffic analysis" intitle:"Apache::Status" (inurl:server-status | inurl:status.html | inurl:apache.html) intitle:"ASP Stats Generator *.*" "ASP Stats Generator" "2003-2004 weppos" intitle:"Multimon UPS status page" intitle:"statistics of" "advanced web statistics" intitle:"System Statistics" +"System and Network Information Center" intitle:"Usage Statistics for" "Generated by Webalizer" intitle:"Web Server Statistics for ****" inurl:"/axs/ax-admin.pl" -script inurl:"/cricket/grapher.cgi" inurl:server-info "Apache Server Information" "Output produced by SysWatch *"

hakin9 N o 3/2005

www.hakin9.org

cos: "A

filetype:ihtml intext:LOGIN .

syntax error has occurred"

Fig. 7: Lo sfruttamento degli errori del database Informix

Fig. 8: L'errore del database MySQL

gare sulle pagine generate dallo script Sysinfo: intitle:"Sysinfo *
" intext:"Generated by Sysinfo * written by The Gamblers." ,

Cerchiamo errori

Informazioni ugualmente interessanti si possono ottenere dagli errori del database MySQL. Questo si vede anche sull'esempio della query "Access denied for user" "Using password" la Fig. 8 presenta una delle pagine trovate in questo modo. Altre query d'esempio, che sfruttano tali errori, si trovano nella Tabella 5. L'unico metodo per proteggere i nostri sistemi dalla divulgazione di informazioni sugli errori consiste soprattutto, in una veloce eliminazione delle irregolarit e, se abbiamo tale possibilit nella configurazione del software in maniera tale che le informazioni sugli errori siano registrate in file appositamente destinati a uesto scopo e non inviate su pagine accessibili agli utenti. Bisogna ricordare inoltre che, anche se riusciremo in breve tempo ad eliminare gli errori (rendendo obsolete le pagine indicate da Google), un intruso pu vedere una copia della pagina conservata nella cache del motore di ricerca Google. Basta che sull'elenco dei risultati clicchi sul collegamento alla copia della pagina. Per fortuna a causa dell'immensa quantit delle risorse in Internet, le copie sono mantenute nella cache per un breve periodo.

che contengono molte pi informazioni sul sistema (Fig. 6). Le possibilit sono tante (le query d'esempio sulle statistiche ed informazioni create dai programmi pi popolari sono contenute nella Tabella 4). Entrare in possesso di questo tipo di informazioni pu incoraggiare un intruso ad eseguire un attacco al sistema trovato ed aiutarlo nella scelta degli strumenti adeguati o degli exploit. Per questo, se utilizziamo i programmi che rendono possibile il monitoring delle risorse dei nostri computer, dobbiamo assicurarci che l'accesso ad esse sia protetto e richieda di fornire una password.

I messaggi di errore HTTP possono avere per un malintenzionato una valenza straordinaria proprio da queste informazioni si possono ottenere una moltitudine di dati sul sistema e sulla configurazione e struttura dei database. Per esempio, per trovare degli errori generati dal database Informix basta fare nel motore di ricerca la query seguente: "A syntax error has occurred" filetype:ihtml. In fin dei conti chi ha scopi malevoli trover dei messaggi contenenti le informazioni sulla configurazione del database, sulla disposizione dei file system e a volte anche delle password (vedere Fig. 7). Per restringere i risultati soltanto alle pagine contenenti delle password, si pu un po' modificare la query

Cerchiamo le password

In rete si possono trovare una moltitudine di password per ogni genere di risorse account di posta, server FTP o persino per shell di account. Questo causato principalmente dall'ignoranza di utenti che collocano inconsapevolmente le password in luoghi pubblicamente accessibili, ma anche dalla negligenza dei produttori di software che proteggono inadeguatamente i dati degli utenti oppure non li informano della necessit di modificare la configurazione standard dei loro prodotti. Consideriamo l'esempio di WS_ FTP, un client FTP ben conosciuto e comunemente usato, che similmente alla maggioranza del software d'utilit permette di memo-

Basi

www.hakin9.org

hakin9 N o 3/2005

Google hacking

rizzare le password per gli account. WS_FTP registra la sua configurazione e le informazioni sugli account utente nel file WS_FTP.ini. Purtroppo non tutti ci rendiamo conto del fatto che chiunque otterr l'accesso alla configurazione del client FTP avr nello stesso momento l'accesso alle nostre risorse. Per la verit le password conservate nel file WS_FTP.ini sono codificate, per non una protezione sufficiente avendo il file di configurazione, un malintenzionato pu utilizzare gli strumenti che permettono di decifrare le password o, pi semplicemente, installare il programma WS_FTP ed avviarlo con la nostra configurazione. Per in che modo possibile arrivare a migliaia di file di configurazione del client WS_ FTP? Ovviamente tramite Google. Grazie alle query "Index of/"
"Parent

oppure filetype:ini WS _ FTP PWD possibile ottenere una moltitudine di link ai dati ai quali si interessati,

Directory"

"WS _ FTP.ini"

Fig. 9: Il file di configurazione del programma WS_FTP

Tabella 5. I messaggi degli errori Query

"A syntax error has occurred" filetype:ihtml "Access denied for user" "Using password" "The script whose uid is " "is not allowed to access" "ORA-00921: unexpected end of SQL command" "error found handling the request" cocoon filetype:xml

Risultato Gli errori del database Informix possono contenere i nomi delle funzioni, i nomi dei file, le informazioni sulla disposizione dei file, i frammenti del codice SQL e le password gli errori d'autorizzazione possono contenere i nomi utente, i nomi delle funzioni, le informazioni sulla disposizione dei file ed i frammenti del codice SQL gli errori PHP legati al controllo d'accesso possono contenere i nomi dei file, i nomi delle funzioni e le informazioni sulla disposizione dei file gli errori del database Oracle possono contenere i nomi dei file, i nomi delle funzioni e le informazioni sulla disposizione dei file gli errori del programma Cocoon possono contenere il numero della versione di Cocoon, i nomi dei file, i nomi delle funzioni e le informazioni sulla disposizione dei file gli errori del forum di discussione Invision Power Board possono contenere i nomi delle funzioni, i nomi dei file, le informazioni sulla disposizione dei file system e i frammenti del codice SQL gli errori del database MySQL possono contenere i nomi degli utenti, i nomi delle funzioni, i nomi dei file e le informazioni sulla disposizione dei file gli errori degli script CGI possono contenere le informazioni sul tipo del sistema operativo e sulla versione del software, i nomi degli utenti, i nomi dei file e le informazioni sulla disposizione dei file system gli errori del database MySQL possono contenere le informazioni sulla struttura e sul contenuto del database

"Invision Power Board Database Error"

"Warning: mysql _ query()" "invalid query" "Error Message : Error loading required libraries." "#mysql dump" filetype:sql

hakin9 N o 3/2005

www.hakin9.org

Tabella 6. Le password le query d'esempio in Google Query Risultato le password alla pagina site, memorizzate nella forma "http://username:password@www..." le copie di backup dei file, in cui si possono trovare le informazioni sui nomi degli utenti e le password i file di tipo mdb, che possono contenere le informazioni sulle password i file pwd.db possono contenere i nomi degli utenti e le password codificate le directory contenenti nel nome le parole admin e backup i file di configurazione del programma WS_FTP che possono contenere le password ai server FTP i file contenenti le password del programma Microsoft FrontPage i file contenenti il codice SQL e le password aggiunte al database i file di configurazione dell'instant messaging Trillian i file di configurazione dell'ircbot Eggdrop i file di configurazione dell'applicazione OpenLDAP i file di configurazione del programma WV Dial i file di configurazione del programma di posta Eudora i file Microsoft Access, che possono contenere le informazioni sugli account i siti Web che utilizzano l'applicazione Web Wiz Journal che nella configurazione standard permette di scaricare il file contenente le password; invece dell'indirizzo di default http://<host>/journal/ bisogna immettere http://<host>/journal/journal.mdb

"http://*:*@www" site filetype:bak inurl:"htaccess|passwd|shadow|ht users" filetype:mdb inurl:"account|users|admin|admin istrators|passwd|password" intitle:"Index of" pwd.db inurl:admin inurl:backup intitle:index.of "Index of/" "Parent Directory" "WS _ FTP.ini" filetype:ini WS _ FTP PWD ext:pwd inurl:(service|authors|administrators |users) "# -FrontPage-" filetype:sql ("passwd values ****" | "password values ****" | "pass values ****" ) intitle:index.of trillian.ini eggdrop filetype:user user filetype:conf slapd.conf inurl:"wvdial.conf" intext:"password" ext:ini eudora.ini filetype:mdb inurl:users.mdb

intext:"powered by Web Wiz Journal"

"Powered by DUclassified" -site:duware.com "Powered by DUcalendar" -site:duware.com "Powered by DUdirectory" -site:duware.com "Powered by DUclassmate" -site:duware.com "Powered by DUdownload" -site:duware.com "Powered by DUpaypal" -site:duware.com "Powered by DUforum" -site:duware.com

Basi

intitle:dupics inurl:(add.asp | default.asp | view.asp | voting.asp) -site:duware.com

i siti Web che utilizzano le applicazioni DUclassified, DUcalendar, DUdirectory, DUclassmate, DUdownload, DUpaypal, DUforum o DUpics che nella configurazione standard permettono di scaricare il file contenente le password; invece dell'indirizzo di default (per DUclassified) http://<host>/duClassified/ bisogna immettere http://<host>/duClassified/_private/duclassified.mdb

intext:"BiTBOARD v2.0" "BiTSHiFTERS Bulletin Board"

i siti Web che utilizzano l'applicazione Bitboard2, che nella configurazione standard permette di scaricare il file contenente le password; invece dell'indirizzo di default http://<host>/forum/ forum.php bisogna immettere http://<host>/forum/admin/data_ passwd.dat

10

www.hakin9.org

hakin9 N o 3/2005

Google hacking

che per nostra ignoranza noi stessi forniamo (Fig. 9). Un altro esempio l'applicazione Web chiamata DUclassified, che permette di aggiungere e gestire le pubblicit nei portali Internet. Nella configurazione standard di questo programma i nomi degli utenti, le password ed altri dati sono conservati nel file duclassified.mdb che si trova nella sottodirectory _private non protetta dalla lettura. Basta allora trovare un portale che utilizza DUclassifield con l'indirizzo d'esempio http://<host>/duClassified/ e cambiarlo in http://<host>/duClassified/ _private/duclassified.mdb, per ottenere in questo modo il file con le password e l'accesso illimitato alle applicazioni (lo dimostra Fig. 10). Invece per trovare i siti che utilizzano l'applicazione trattata, pu aiutare la query seguente fatta in Google: "Powered
by

Fig. 10: Il programma DUclassified configurato standard

Fig. 11: Rubrica di indirizzi violata grazie a Google

In Rete
http://johnny.ihackstuff.com il pi grande deposito di informazioni su Google hacking, http://insecure.org/nmap/ lo scanner di rete Nmap, http://thc.org/thc-amap/ lo scanner amap.

(per evitare i risultati riguardanti i siti del produttore). Una cosa curiosa che, il produttore di DUclassified la ditta DUware ha creato altre applicazioni, anch'esse suscettibili ad abusi simili. In teoria tutti sappiamo che le password non si devono incollare al monitor o nascondere sotto la tastiera. Parecchie persone scrivono password nei file e li collocano nelle loro directory di casa che, contrariamente alle aspettative, sono raggiungibili da Internet. Inoltre molte di queste persone ricoprono le funzioni di amministratori di rete o simili, perci questi file raggiungono notevoli dimensioni. difficile fornire un principio concreto per cercare tali dati, per danno buoni risultati le combinazioni delle parole account, users, admin, administrators, passwd, password ecc, con formati di file di tipo .xls, .txt, .doc, .mdb e .pdf. Merita anche rivolgere l'attenzione alle directory che contengono nel nome le parole admin, backup o simili: inurl:admin intitle: index.of. Le query d'esempio sui dati legati alle password si possono trovare nella Tabella 6. Per rendere agli intrusi un pi difficile accesso alle nostre password, dobbiamo soprattutto pensare

DUclassified"

-site:duware.com

hakin9 N o 3/2005

www.hakin9.org

11

Tabella 7. La ricerca dei dati personali e dei documenti confidenziali Query

filetype:xls inurl:"email.xls" "phone * * *" "address *" "e-mail" intitle:"curriculum vitae" "not for distribution" confidential buddylist.blt intitle:index.of mystuff.xml filetype:ctt "msn" filetype:QDF QDF intitle:index.of finances.xls

Risultato i file email.xls, che possono contenere dei dati telematici i documenti CV i documenti provvisti della classificazione confidential gli elenchi dei contatti dell'instant messaging AIM gli elenchi dei contatti dell'instant messaging Trillian gli elenchi dei contatti MSN il database del programma finanziario Quicken i file finances.xls, che possono contenere le informazioni sui conti bancari, elenchi finanziari e i numeri delle carte di credito i file maillog che possono contenere i messaggi email i rapporti della ricerca sulla sicurezza di rete, dei test di penetrazione ecc.

intitle:"Index Of" -inurl:maillog maillog size "Network Vulnerability Assessment Report" "Host Vulnerability Summary Report" filetype:pdf "Assessment Report" "This file was generated by Nessus"

Tabella 8. Le sequenze caratteristiche per i dispositivi di rete Query

"Copyright (c) Tektronix, Inc." "printer status" inurl:"printer/main.html" intext:"settings" intitle:"Dell Laser Printer" ews intext:centreware inurl:status inurl:hp/device/this.LCDispatcher intitle:liveapplet inurl:LvAppl intitle:"EvoCam" inurl:"webcam.html" inurl:"ViewerFrame?Mode=" (intext:"MOBOTIX M1" | intext:"MOBOTIX M10") intext: "Open Menu" Shift-Reload inurl:indexFrame.shtml Axis SNC-RZ30 HOME intitle:"my webcamXP server!" inurl:":8080" allintitle:Brains, Corp. camera intitle:"active webcam page"

Dispositivo le stampanti PhaserLink le stampanti Brother HL le stampanti Della con la tecnologia EWS le stampanti Xerox Phaser 4500/6250/8200/8400 le stampanti HP le telecamere Canon Webview le telecamere Evocam le telecamere Panasonic Network Camera le telecamere Mobotix le telecamere Axis le telecamere Sony SNC-RZ30 le telecamere accessibili tramite l'applicazione WebcamXP Server le telecamere accessibili tramite l'applicazione mmEye le telecamere con l'interfaccia USB

a dove e perch le immettiamo, come vengono conservate e che cosa succede con esse. Se gestiamo un sito Internet, dovremo analizzare la configurazione delle applicazioni utilizzate, trovare i dati poco protetti o vulnerabili e proteggerli adeguatamente.

Dati personali e documenti confidenziali

Sia in Italia o nell'Unione Europea, sia negli Stati Uniti, esistono delle regolamentazioni giuridiche adeguate, che hanno lo scopo di proteggere la nostra privacy. Pur-

troppo succede che i documenti confidenziali di ogni genere contenenti i nostri dati vengono collocati in posti pubblicamente accessibili o trasmessi tramite reti senza un'adeguata protezione. Basta che un intruso ottenga l'accesso alla posta elettronica contenente il nostro Cur-

Basi

12

www.hakin9.org

hakin9 N o 3/2005

Google hacking

Fig. 12: Il documento riservato trovato dal motore di ricerca

elenchi, potr cercare di spacciarsi per nostro amico. Una cosa che incuriosisce che parecchi dati personali si possono trovare in documenti ufficiali di ogni genere rapporti di polizia, scritti giudiziari o persino libretti sanitari. In Rete si possono anche trovare dei documenti classificati come segreti e che per questo contengono informazioni riservate. Possono essere piante di un progetto, documentazioni tecniche, diversi questionari, rapporti, presentazioni e una moltitudine di altri documenti interni di una ditta. Si possono distinguare dagli altri tipi di documenti, perch molto spesso contengono la parola confidential, la frase Not for distribution o simili (vedere Fig. 12). La Tabella 7 contiene alcune query d'esempio sui documenti che possono contenere dati personali e informazioni confidenziali. Come nel caso delle password, per evitare di rivelare le nostre informazioni private, possiamo soltanto usare molta prudenza e controllo sui dati da pubblicare. Le ditte e le istituzioni dovrebbero (e in molti casi persino devono) elaborare ed introdurre adeguati regolamenti, procedure e principi di comportamento riguardo la circolazione delle informazioni, la responsabilit e le conseguenze per la loro inosservanza.

Dispositivi di rete
Fig.13: La pagina di configurazione della stampante HP trovata da Google riculum Vitae inviato durante una ricerca di lavoro, e conoscer il nostro indirizzo, il numero di telefono, la data di nascita, la carriera scolastica, le conoscenze e l'esperienza. In Internet si possono trovare una moltitudine di documenti di questo tipo. Per trovarli basta eseguire la seguente query: intitle:"curriculum vitae" "phone * * *" "address *" "e-mail" facile anche trovare . dati telematici in forma di elenchi di cognomi, numeri telefonici ed indirizzi e-mail (Fig. 11). Questo risulta dal fatto che quasi tutti gli utenti Internet

creano rubriche di indirizzi di vario tipo sono di poca importanza per un comune intruso, per un abile sociotecnico riuscir a sfruttarne i dati contenuti, specialmente se riguardano i contatti nell'ambito di una ditta. Abbastanza bene in questo caso si comporta per esempio la query: filetype:xls inurl:"email.xls", che trover i fogli di calcolo con il nome email.xls. Una situazione simile si ha con gli instant messaging di rete e le liste dei contatti memorizzate in essi; un intruso, dopo aver conquistato tali

Molti amministratori non trattano seriamente la sicurezza di tali dispositivi come le stampanti di rete o le telecamere web. Una stampante mal protetta pu essere una testa di ponte che un intruso conquista prima di tutto, e poi utilizza per impartire attacchi ad altri sistemi nella rete o al di fuori di essa. Le telecamere Internet ovviamente non sono cos pericolose, allora le si pu considerare come un divertimento. Per non difficile immaginare quanto tali dati abbiano importanza (spionaggio industriale, una rapina). Le query su stampanti e telecamere sono contenute nella Tabella 8, invece la Fig. 13 presenta una pagina di configurazione di una stampante trovata in rete. n

hakin9 N o 3/2005

www.hakin9.org

13